هل يحتاج الموقعان إلى معرّفات VLAN متطابقة من أجل VPN بين المواقع؟

تطابق أرقام VLAN في مكتبين يوحي بأنه ينبغي أن يساعد نفقاً بين موقعين، لكنه لا يغيّر شيئاً مما ينقله النفق. معرّف VLAN يضع علامة على نطاق بثّ إيثرنت داخل مبنى واحد؛ النفق يمرّر حزم IP بين البوابات. يمكن لموقعين استخدام ترقيم VLAN مختلف تماماً ومع ذلك يتوجّه كل منهما إلى الآخر، ويمكن لموقعين استخدام ترقيم VLAN متطابق ومع ذلك يعجز كل منهما عن الوصول إلى الآخر. المتغير الذي يحدّد إمكانية الوصول هو مخطط العناوين.

الخرافة: تطابق معرّفات VLAN في الطرفين

الاعتقاد ينبع من مكان معقول. داخل مبنى واحد، يمكن لمنفذين في VLAN نفسها التحدث، ولا يمكن لمنفذين في VLANين مختلفين ذلك، فيبدو رقم VLAN كالشيء الذي يمنح الاتصال. عبر نفق موجّه لا يوجد مقطع إيثرنت مشترك تصفه العلامة، والبوابات لا تتبادل تسميات VLAN إطلاقاً.

ما يحتاجه النفق هو زوج من نطاقات العناوين غير المتداخلة وسياسة تسمح بالمرور بينهما. غيّر VLAN في أي مكتب فيبقى النفق عاملاً، لأن شيئاً في إعداد النفق لم يشر إليه. هذا هو الاختبار الذي يحسم الجدل: أعد ترقيم VLAN، واترك العناوين كما هي، وراقب بقاء النفق.

الاختبار العكسي مفيد بالقدر نفسه. أعطِ المكتبين الشبكة الفرعية نفسها، فلن يجعل أي قدر من تطابق أرقام VLAN العنوان غير ملتبس.

ما ينقله النفق فعلاً

يحمي IPsec حزم IP وفق سياسة تُعبَّر عنها بالعناوين والبروتوكولات والمنافذ. وتشرح معمارية IPsec تلك المحدِّدات على طبقة IP، وهي تقع على عدة طبقات فوق أي شيء تصفه علامة المحول. وعندما تدخل حزمة إلى النفق تكون قد غادرت VLAN بالفعل؛ إذ يكون المحول المحلي قد استهلك العلامة.

تختلف التصاميم القائمة على السياسة والقائمة على التوجيه في كيفية اختيار النفق، لا في ما يمكنها نقله. يطابق النظير القائم على السياسة محدِّدات المرور ويرسل الحزم المطابقة إلى النفق. أما النظير القائم على التوجيه فيوجّه المرور عند واجهة النفق ويترك القرار لجدول التوجيه. وكلاهما لا يزال يتفاوض على نطاق حماية، لذا لا يوسّع مسار يشير إلى النفق ما اتفق النظيران على حمايته.

يفسّر هذا التمييز فشلاً جزئياً شائعاً: المسار موجود، والحزم تدخل النفق، والطرف الآخر يُسقطها لأن المحدِّدات المتفاوض عليها لم تتضمن تلك البادئة قط. وقراءة السياسات المثبَّتة تُظهر النطاق الذي سري فعلاً.

ip xfrm policy
ip route show
swanctl --list-sas

التداخل الذي يكسر فعلاً

مكتبان بشبكتين فرعيتين مختلفتين يتوجّهان بنظافة عبر نفق، وأرقام VLAN لديهما لا صلة لها. ومكتبان بالشبكة الفرعية نفسها لا يفعلان ذلك، لأن طلب عنوان معين له معنيان محتملان ولا يمكن لجدول التوجيه اختيار إلا واحد. إعادة ترقيم أحد الموقعين هي الإصلاح النظيف، وهي عادة أرخص من البدائل عندما تُحتسب تغييرات DNS والجدار الناري.

عندما تكون إعادة الترقيم مستحيلة، يمكن لتصميم ترجمة متعمَّد أن يقدّم رؤيتين متمايزتين للعناوين لكل طرف. يعني ذلك تعييناً واحداً لواحد، ومحدِّدات متطابقة، ومدخلات DNS تعكس الرؤية المترجمة، وتوجيهاً عائداً يصمد أمام إعادة الكتابة. إنه تصميم مدعوم بتكلفة تشغيلية حقيقية، وليس ما يفعله تغيير معرّف VLAN.

تطابق أرقام VLAN في الطرفين هو أحياناً مصادفة من قالب مشترك، والتعامل مع تلك المصادفة كسبب لنفق عامل يقود إلى التغيير الخطأ عندما ينهار شيء لاحقاً.

مهمة واحدة لكل طبقة، مكتوبة

يقرّر المحول المحلي أي المنافذ تتشارك نطاق بثّ، وترقيم VLAN لديه سجل محلي لا يحتاج أي موقع آخر إلى معرفته. البوابة تصادق على النظير وتفرض نطاق الحماية المتفاوض عليه. وجدول التوجيه يقرّر إلى أين تذهب الحزمة المفكوكة التشفير تالياً، وسياسة الوصول تقرّر ما إذا كان ينبغي السماح بتلك الحزمة أصلاً.

إبقاء تلك المهام منفصلة هو ما يجعل التغييرات آمنة. إعادة ترقيم VLAN في مكتب تمسّ المحول المحلي ونطاق DHCP وربما منطقة جدار ناري، ولا تمسّ النفق. وتغيير بادئة يمسّ محدِّدات النفق والمسارات في الطرفين وسياسة الوصول، ولا يمسّ وسوم المحول.

مسارات العودة وDNS الخاص ومتطلبات هوية التطبيق مهام منفصلة مرة أخرى، ولا يأتي أي منها بنسخ رقم VLAN من الموقع الآخر. مستند تصميم يسرد البادئات الممكن الوصول إليها والخدمات المسموح بها يصمد أمام تحديث المحول؛ أما الذي يسرد أرقام VLAN فلا.

أكّد الصورة المحلية بأدوات الجسر قبل أن تفترض أن علامة تصل إلى النفق.

bridge vlan show
ip -br addr
ip route get 10.62.0.20

عندما يكون تمديد layer-2 هو المطلب الحقيقي

بعض التصاميم تحتاج فعلاً سلوك إيثرنت بين المواقع: تطبيق قديم يعتمد على اكتشاف البثّ، أو هجرة يجب أن تحافظ على عنوان بينما تنتقل آلة، أو بروتوكول يضمّ افتراضات layer-2. تلك الحالات تستدعي طبقة تراكب أو خدمة جسر تنقل الإطارات، وعندها تصبح عضوية VLAN ومنع الحلقات ومعالجة الأعطال شؤوناً من طرف إلى طرف.

هذا نطاق فشل أكبر بكثير، وينبغي أن يكون خياراً متعمَّداً لا النتيجة العارضة لمحاولة تشغيل مشاركة ملفات. خادم ملفات أو قاعدة بيانات أو تطبيق ويب عادي يحتاج مسار IP مصرَّحاً به، وسيكون أسعد دون نطاق بثّ ممتد تحته.

اكتب عقد VPN كبادئات يمكن الوصول إليها بالإضافة إلى الخدمات المسموح بها، وسجّل تسمية VLAN فقط حيث تحتاجها العمليات المحلية. عندئذٍ يمكن لكل مكتب إعادة ترقيم تبديله دون تحويل كل تغيير إلى إعادة تصميم للنفق.